Terraform中如何确保AWS安全组规则变更时稳定触发null_resource？

针对你的需求，要让null_resource在安全组规则创建、修改、销毁时都能触发，需从以下几个方面调整配置：

关键调整点 #

• 同步null_resource与安全组规则的count值：确保null_resource仅在安全组规则存在时才创建，销毁时也随之销毁。
• 扩展triggers包含所有规则属性：不仅依赖规则ID，还要包含所有可能变更的属性，这样规则修改时triggers哈希值会变化，触发null_resource重新执行。
• 添加销毁阶段的provisioner：确保规则销毁时也执行指定动作。
• 移除冗余的depends_on：通过count和triggers的引用已形成隐式依赖，无需额外声明。

修正后的配置代码 #

resource "aws_security_group_rule" "health_blue" {
  count       = data.external.blue_eks_cluster.result.cluster_status == "online" ? 1 : 0
  description = "LB healthchecks to blue cluster"

  cidr_blocks       = values(data.aws_subnet.eks_gateway).*.cidr_block
  from_port         = 80
  protocol          = "tcp"
  security_group_id = data.aws_security_group.blue_cluster_sg[0].id
  to_port           = 80
  type              = "ingress"
}

resource "null_resource" "wait_for_healthcheck" {
  # 与安全组规则的count保持一致，确保生命周期同步
  count = aws_security_group_rule.health_blue.count

  triggers = {
    # 包含所有可能变更的规则属性，确保修改时触发
    rule_id          = aws_security_group_rule.health_blue[count.index].id
    description      = aws_security_group_rule.health_blue[count.index].description
    cidr_blocks      = join(",", aws_security_group_rule.health_blue[count.index].cidr_blocks)
    from_port        = aws_security_group_rule.health_blue[count.index].from_port
    protocol         = aws_security_group_rule.health_blue[count.index].protocol
    to_port          = aws_security_group_rule.health_blue[count.index].to_port
    type             = aws_security_group_rule.health_blue[count.index].type
    security_group_id = aws_security_group_rule.health_blue[count.index].security_group_id
  }

  # 创建和修改时执行的动作
  provisioner "local-exec" {
    command = "echo 'Waiting for 25 seconds after rule creation/modification'; sleep 25"
  }

  # 销毁时执行的动作（按需调整命令）
  provisioner "local-exec" {
    when        = "destroy"
    command     = "echo 'Running action after rule destruction'"
  }
}

配置说明 #

1. count同步：null_resource的count与安全组规则完全绑定，当集群离线（count=0）时，null_resource不会创建；集群上线时自动创建，规则销毁时也随之销毁。
2. triggers扩展：将所有影响规则的属性加入triggers，任何属性变更都会导致triggers哈希值更新，Terraform会重新创建null_resource并执行provisioner。
3. 销毁阶段执行：通过when = "destroy"指定的provisioner会在null_resource销毁（即安全组规则销毁）时触发，满足销毁时执行动作的需求。
4. 隐式依赖：由于null_resource直接引用了安全组规则的属性，Terraform会自动确保规则先完成创建/修改，再执行null_resource的动作，无需额外声明depends_on。

内容的提问来源于stack exchange，提问作者Theo Sweeny